| 关键字段 | LogonType（2 本地交互、3 网络、10 RDP、5 服务）、Target/Subject 账户、IpAddress、WorkstationName、LogonProcessName |
|---|---|
| 注意 | 机器账户（以 $ 结尾）的 3 型登录是正常网络访问 |
常用示例
常用示例
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624; StartTime=(Get-Date).AddHours(-8)} | Select-Object TimeCreated, @{n='Type';e={$_.Properties[8].Value}}, @{n='User';e={$_.Properties[5].Value}}, @{n='IP';e={$_.Properties[18].Value}}, @{n='Proc';e={$_.Properties[17].Value}} | Format-Table -AutoSize字段索引按事件版本核对一次后固化成脚本函数，长期复用。